Praxisbericht: Database Vault 10.2.0.3 in der ... · 22.11.2007 Database Vault 10.2.0.3 in der Personalabteilung 3 Übersicht n Anfrage der Personalabteilung n Anforderungen der Personalabteilungen

Praxisbericht:

Database Vault 10.2.0.3 in der

Personalabteilung

Volker Mach, Senior Systemberater, MT AG

MT AG – managing technology

Key-facts:

n 1994: Gründung als MT Software GmbH

n 2000: Umwandlung zur MT AG,

Aktienkapital: 1,5 Mio. €

n Anteile: In der Hand von Management

und Aufsichtsrat

n Zurzeit: ca. 145 Festangestellte

ca. 60 freie Mitarbeiter

Die MT AG ist langjähriger IT-Beratungspartner von Großunternehmen und Mittelstand.

Sie steht für Technologie-Know-how und praxisnahe, effiziente IT-Dienstleistung:

von Strategie und Beratung über Entwicklung und Integration bis hin zu Wartung und

Administration von IT-Infrastrukturen.

Die MT AG ist langjähriger IT-Beratungspartner von Großunternehmen und Mittelstand.

Sie steht für Technologie-Know-how und praxisnahe, effiziente IT-Dienstleistung:

von Strategie und Beratung über Entwicklung und Integration bis hin zu Wartung und

Administration von IT-Infrastrukturen.

22.11.2007 Database Vault 10.2.0.3 in der Personalabteilung 3

Übersicht

n Anfrage der Personalabteilung

n Anforderungen der Personalabteilungen

n Auszug internationale Bestimmungen

n Was ist Database Vault?

n Was kommt mit der Installation von Database Vault?

n Wie wird Database Vault verwaltet?

n Wie erstelle ich Realms und Rule Sets?

n Wie kann man die Sicherheit noch erhöhen?

n Erfahrungen während der Implementation

n Fragen und Antworten


Anfrage der Personalabteilung

Dialog Personalabteilung à Systemadministration

PA: Könnt ihr die Personaldaten lesen oder ändern?

SA: Theoretisch: JA

PA: Gibt es Möglichkeiten, dies zu unterbinden?

SA: Oracle Database Vault

PA: Was kann Oracle Database Vault und ist das nun sicher?


Anforderungen der Personalabteilungen

n Gesetzliche Anforderungen

n EU Privacy Directives

n BSI

n Basel II

n PCIDSS

n J-SOX (Asien)

n Firmeninterne Anforderungen

n Sicherheitsbestimmungen

n Datenschutz

n Schutz vor Industriespionage


Internationale gesetzliche Bestimmungen


Was ist Database Vault?

n Database Vault ist eine Datenbank Option, die Sie einsetzen

können um:

n Datenzugriff durch den DBA zu vermeiden

n Strukturänderungen zu verhindern

n Kontrollen zur Umsetzung des Zugangs durch dynamische und flexible Sicherheit

n gesetzliche Bestimmungen einzuhalten

n interne Kontrollen durchzuführen


Mindestanforderung für Database Vault

n Oracle Database 9i (9.2.0.8) Enterprise Edition

n Solaris Operating System (SPARC) (32-bit)


n Linux x86-64

n AIX 5L Based Systems (64-Bit)

n HP-UX PA-RISC (64-Bit)

n Oracle Database 10g Release 2 (10.2.0.3) Enterprise Edition

n Windows (32-bit)

n Linux x86

n Linux Itanium

n Linux x86-64


n Windows Itanium

n Windows (x64)

n HP-UX PA-RISC (64-Bit)

n AIX 5L Based Systems (64-Bit)

n HP-UX Itanium

Für 11g noch nicht zertifiziert

Lizenzierung:

Named-User: 296,00 €/zzgl. MwSt

CPU Lizenz: 14.806,00 €/zzgl. MwSt


Was kommt mit der Installation von Database Vault?

n Folgende Realms (Bereiche) werden bei der Installation schon erzeugt

n Oracle Database Vault

- DV Schemas : DVSYS, DVF und LBACSYS

n Database Vault Account Management

- Usermanagement und Erstellung von Profilen

n Oracle Data Dictionary

- SYSMAN, SYSTEM,SYS,MDSYS usw.

n Neue Rollen

n DV_OWNER à DV Owner Role

n DV_ADMIN à DV Konfigurations Manager

n DV_SECANALYST à DV Security Analyst

n DV_ACCTMGR à DV Account Manager


Wie wird Database Vault verwaltet?

Übersicht


Erstellen eines Realms


Erstellen eines Realms


Erstellen eines Realms (2)








Audit des Realms


Audit des Realms (2)


Audit des Realms (3)



Erstellen eines Rule Sets

Erstellen eines Rule Sets (2)














Einer Command Rule ein Rule Set zuweisen


Einer Command Rule ein Rule Set zuweisen (2)


Einer Command Rule ein Rule Set zuweisen (3)


Command Rule Audit


Wie kann man die Sicherheit zusätzlich erhöhen?

n Einsatz von Transparent Data Encryption um auch den Zugriff

durch Verschlüsselung auf die Datendateien zu erschweren

n Nutzen von Oracle Label Security

n Oracle Label Security ist eine Virtual Private

n Database-(VPD)Anwendung

n Oracle Label Security bietet “out-of-the-box” VPD Funktionalität

n Programmierung ist nicht notwendig

n Oracle Policy Manager (GUI) zur Administration von ‘Labels’ und Authorisierung


Die erste Hürde

n [oracle@dbva~] $ . Oraenv

ORACLE_SID=dbva

[oracle@dbva~]$ sqlplus / as sysdba

SQL*Plus: Release 10.2.0.3.0 –Production on Mon 23 14:31:22 2007

Copyright © 1982, 2006, Oracle. All Rights Reserved.

Error:

ORA-01031: insufficient privileges

Enter username:

Ich kann mich nicht mehr als SYSDBA anmelden!!

Starten und Stoppen der Datenbank nur als SYSOPER



Erfahrungen während der Implementierungsphase

Scheitert ein SELECT auf einen geschützten Bereich durch SYS?

n Bei den Testumstellungen wurde festgestellt, dass Database Vault nicht auf

Objekte wirkt, deren Namen in Hochkommata stehen, d.h. wurde eine Tabelle mit

dem Befehl CREATE TABLE SALARIES … in dem per Realm geschützten

Bereich erstellt, so lieferte ein SELECT auf die Tabelle als SYS einen Fehler.

Wurde die Tabelle dagegen per CREATE TABLE “SALARIES“ … erstellt, so war

ein SELECT als SYS erfolgreich.

n Im konkreten Fall wurden als Workaround die Hochkommata aus den Create-

Skripten herausgenommen.

Ø Dies wurde mit dem CPU 2007 Oktober behoben

- Metalink Note:432865.1


Backup der Datenbank mit RMAN

n Was ändert sich mit Database Vault?

n Login als SYSDBA nötig

- lt. White Paper sollte man 2 Passwordfiles anlegen

§ $orapw file=orapw<sid>.sysdba_closed password=<enter sys password here> nosysdba=y

§ $orapw file=orapw<sid>.sysdba_open password=<enter sys password here> nosysdba=n

§ $cp –p orapw<sid>.sysdba_open orapw<sid>

Das „switchen“ des Passwordfiles sollte nach jedem Backup erfolgen!

Oracle empfiehlt, das Backup über den bekannten Enterprise Manager vorzunehmen oder die

Dateiberechtigungen der eigenen Backup Scripte zu verschärfen:

z.B. $chmod 700 rman_scripts

Probleme beim Erstellen von Trigger

n Minimale Änderungen am Trigger-Quellcode verursachen beim

Kompilieren mögliche Fehler

n Bekannter Bug : 5630439

Ø Unpublished bug which is still worked on by Development.

n ORA-47999: compiling a trigger after Database Vault installation



Workaround für Trigger Note 458104.1

n Den Schemanamen als Präfix vor den Tabellennamen setzen

Ø z.B. AFTER INSERT OR UPDATE OF update_date ON

schema_name.TBS_STATUS

Eine andere, etwas unkonventionelle Methode wäre, sich als

DV_OWNER anzumelden und folgenden Trigger zu „disablen“

alter trigger dvsys.DV_BEFORE_DDL_TRG disable

Nun kann man den Trigger in gewohnter Art und Weise erstellen.


Fazit

n Database Vault hilft durch eine einfache administrative Oberfläche bei der

Umsetzung der internen und externen Sicherheitsbestimmungen

n Database Vault zeigt durch sein Reportwesen die Sicherheitslücken in

der Datenbank auf

n Kann als Sicherungsnachweis gegen Datenspionage wirken

n Database Vault bietet dem DBA Selbstschutz, da ein Zugriff auf

Anwendungsdaten durch Database Vault technologisch ausgeschlossen

wird

n Database Vault ist das einzige Tool, das diese Anforderungen für Oracle

Datenbanken erfüllt

n Getrennte Sicherheit von Betriebssystem und Datenbank notwendig

n Zusätzlicher administrativer Aufwand für Database Vault

Fragen und Antworten

Volker Mach, Senior Systemberater

MT AG · Balcke-Dürr-Allee 9 · 40882 Ratingen

Tel. 02102 309 61-0 · Fax 02102 309 61-10

www.mt-ag.com · [email protected]

http://www.mt-ag.com

mailto:[email protected]

Vielen Dank für Ihre Aufmerksamkeit!

Volker Mach, Senior Systemberater

MT AG · Balcke-Dürr-Allee 9 · 40882 Ratingen

Tel. 02102 309 61-0 · Fax 02102 309 61-10

www.mt-ag.com · [email protected]

http://www.mt-ag.com

mailto:[email protected]

Vorträge der MT AG – DOAG 2007

Wann Thema Referent MT AG

Di., 20.11. ETL Monitoring & Tuning durch Auswertung der OWB Laufzeit-

Metadaten

Lutz Bauer

Di., 20.11. Erfahrungsbericht Einführung ARIS beim Kaufhof Hildgund von Alten-

Krämer

Mi., 21.11.

11:00 – 11:45h

Oracle Warehouse Builder: Automatisierung von Designschritten

bei der Bayer HealthCare AG

Lutz Bauer

Mi., 21.11.

12:00 –12:45h

So profitieren Unternehmen von Oracle Web-Center Suite:

Wie sich Web 2.0-Features bewähren

Niels de Bruijn

Detlef Müller/Oracle

Do., 22.11.

11:00 – 11:45h

Praxisbericht:

Database Vault 10.2.0.3 in der Personalabteilung

Volker Mach

Do., 22.11.

12:00 – 12:45h

Beschleunigte Oracle-ADF-Entwicklung von

Rich Client-Anwendungen im Bankenwesen

Tobias Otto

Do., 22.11.

13:00 –13:45h

Risikominimierung bei der Migration von Datenbank und

Application Server nach 10gR2

Dr. Peter Alteheld

Do., 22.11.

14:00 –14:45h

Best Practices:

Entwicklung komplexer APEX-Applikationen

Niels de Bruijn,

Anja Wiegele

Standby Best Practices im Business-Reporting: So kombiniert man

Hyperion Intelligence mit dem OWB

Jens Wiesner

22.11.2007 42Database Vault 10.2.0.3 in der Personalabteilung

Praxisbericht: Database Vault 10.2.0.3 in der ... · 22.11.2007 Database Vault 10.2.0.3 in der Personalabteilung 3 Übersicht n Anfrage der Personalabteilung n Anforderungen der Personalabteilungen

Documents